Le projet de loi transposant NIS 2 devrait être examiné par l’Assemblée nationale en octobre 2026, marquant une nouvelle étape vers son adoption. Cette mise à jour fait le point sur le calendrier de mise en conformité, les objectifs du référentiel ReCyF, les investissements à prévoir et les ressources disponibles pour accompagner les organisations.
Article mis à jour le 23/09/2026
Calendrier de la transposition de NIS 2 en France
- Examen et débats à l’Assemblée nationale prévus en octobre 2026
- Délai de mise en conformité annoncé : trois ans après la publication de la loi
Rappel : l’ANSSI insiste sur la nécessité d’agir dès maintenant face aux menaces. L’analyse des risques et la cartographie des systèmes peuvent, et doivent, commencer sans attendre.
ReCyF : le référentiel français de conformité à NIS 2
Le ReCyF, référentiel français de conformité à NIS 2, définit 20 objectifs de sécurité pour les entités essentielles et 15 pour les entités importantes. La position française est claire : s’appuyer sur les normes ISO 27001 et ISO 27002 ne suffit pas à garantir la conformité à NIS 2 :
- ISO 27001 ne couvre à elle seule que deux des 20 objectifs applicables aux entités essentielles
- ISO 27002 peut contribuer à couvrir jusqu’à 80 % de ces objectifs
L’ANSSI soutient également le développement d’un cadre européen de certification pour favoriser une mise en œuvre cohérente entre les pays, notamment pour les organisations présentes dans plusieurs États membres.
Consultez notre page dédiée au ReCyF pour découvrir le référentiel et le prendre en main.
Mise en conformité NIS 2 : quel investissement prévoir ?
L’ANSSI et le Secrétariat général de la défense et de la sécurité nationale (SGDSN) ont communiqué les estimations suivantes :
- Entités importantes : un investissement initial de 100 000 à 200 000 €, puis un coût annuel d’environ 10 % de ce montant
- Entités essentielles : un investissement initial de 450 000 à 880 000 €, puis un coût annuel d’environ 10 % de ce montant
Selon la Cour des comptes (juin 2025), le coût moyen d’une cyberattaque est estimé à 5 à 10 % du chiffre d’affaires annuel, quelle que soit la taille de l’organisation ou son secteur d’activité.
Pré-enregistrement sur le portail Club SSI
Pour savoir si votre organisation entre dans le champ d’application de NIS 2, vous pouvez utiliser le test proposé sur le site Mon Espace NIS 2. Si elle est concernée, vous pouvez vous pré-enregistrer sur Club SSI, le portail officiel d’accès aux services numériques du CERT-FR.
Les informations suivantes vous seront demandées :
- Adresse du siège social en France et, le cas échéant, numéro SIREN ;
- Secteur(s), sous-secteur(s) et type(s) d’entité au sens des annexes I et II de la directive NIS 2 ;
- Nombre de salariés, chiffre d’affaires et bilan financier ;
- États membres de l’Union européenne dans lesquels l’entité exerce ses activités de fabrication ou de fourniture de produits ou de services ;
- Coordonnées des personnes chargées du traitement des incidents de cybersécurité et, le cas échéant, d’autres fonctions pertinentes ;
- Raison sociale et adresses des établissements dans l’Union européenne ;
- Adresses ou plages d’adresses IPv4/IPv6 et, à titre facultatif, noms de domaine de premier niveau et numéros de systèmes autonomes (AS).
Une fois la loi publiée, cet enregistrement deviendra obligatoire pour satisfaire aux exigences de transmission d’informations prévues aux articles 3 et 27 de NIS 2.
Gérer les risques cyber liés aux prestataires et fournisseurs
L’ANSSI souligne l’importance d’anticiper ces risques avec les fournisseurs et les prestataires. Les premières actions à engager comprennent :
- La réalisation d’une analyse complète des risques et d’une cartographie des infrastructures
- L’intégration de clauses relatives à la cybersécurité dans tous les nouveaux contrats
Ressources et accompagnement NIS 2 en France
Plusieurs dispositifs et services sont disponibles pour accompagner les organisations dans la mise en œuvre de NIS 2 :
- GIP Acyma : orientation vers des prestataires privés via cybermalveillance.gouv.fr
- 17Cyber (Gendarmerie nationale) : assistance et réponse rapide
- CSIRT régionaux : réponse aux incidents et conseils de proximité
- OPSN : services de cybersécurité mutualisés
- Prestataires d’audit qualifiés par l’ANSSI : évaluation de la sécurité
Vous souhaitez évaluer votre niveau de sécurité en moins de 10 minutes ? Découvrez notre Audit de sûreté en ligne, anonyme et gratuit.
La conformité est une étape, pas une finalité
« Nous avons une équipe de France de la cyber, un collectif solide qui mixe privé, public et plus de 70 fédérations professionnelles. Les entités disposeront d'un délai de mise en conformité mais attention : la menace est déjà présente. » – Vincent Strubel, directeur général de l’ANSSI
SPAC Alliance partage pleinement ce message. Renforcer sa résilience commence par des actions concrètes :
- Évaluer les risques numériques et physiques, y compris ceux liés aux prestataires et fournisseurs
- Cartographier les systèmes et les dispositifs de contrôle d’accès
- Tester la gouvernance de sécurité au moyen d’un exercice simulant une attaque réussie
Ces travaux préparatoires aideront votre organisation à répondre à ses obligations de conformité tout en renforçant sa sécurité. Les membres de SPAC Alliance peuvent vous accompagner grâce à leur expertise, leurs services et leurs technologies de confiance, pour traduire ces mesures en actions concrètes.
Contactez-nous pour en savoir plus sur les services disponibles dans notre boutique.
